Отваряш компютъра сутринта и виждаш бял екран с черен текст. В текста има кратко съобщение, срок и искане за плащане в нещо, което не разбираш. Снимките от последните пет години са там, но не можеш да ги отвориш. Документите са там. Файловете не са изтрити — те са заключени, а ключът е у някого другиго. Точно това е рансъмъер: не кражба, а задържане. Крадецът не иска вещта. Разликата е важна, защото обяснява защо полицията рядко помага: няма откраднат предмет, има заключена врата. Той иска да платиш, за да си върнеш достъпа до нея.
Механизмът е прост и затова ефективен. Програмата влиза в системата, обикновено през нещо, което ти сам си отворил — прикачен файл, програма от неофициален сайт, връзка в съобщение. После тихо обикаля дисковете и криптира всичко, до което се добере. Криптирането е силно, а ключът остава само у нападателя. За да е сигурно, че ще платиш, той често краде и копие от данните и заплашва да ги публикува. Затова най-опасният вектор не е сложна атака, а нещо обикновено, което изглежда като фактура от куриер. Така дори добър резервен архив не решава целия проблем.
Защо това работи толкова добре? Защото е бизнес, не вандализъм. Нападателят няма интерес да унищожи данните — те са му залогът. Затова схемата е организирана: има списък с жертви, има срокове, има поддръжка, която отговаря на въпроси. Това е най-неприятната част от темата: тя прилича на услуга, защото наистина е услуга, само че изнудване. Поради това и съветът „просто не плащай“ е по-лесен за даване, отколкото за изпълнение. Никой не проверява разширението на файла, когато фактурата изглежда истинска. И колкото по-добре е организирана, толкова по-малко жертви решават да не платят.